La MFA (authentification multifacteur) est devenue l’un des piliers de la sécurité en entreprise. Elle protège aujourd’hui une large partie des utilisateurs, précisément parce qu’elle renforce le contrôle d’accès au moment de la connexion. Pourtant, son succès a engendré un risque inattendu : les organisations confondent de plus en plus authentifier et vérifier l’identité.
C’est là que se situe le piège de l’identité. Dans certains scénarios, un attaquant peut franchir les exigences d’authentification tout en conservant une identité impostée. Les contrôles peuvent donc fonctionner “correctement” tout en accordant l’accès à la mauvaise personne. Le problème n’est pas la MFA en elle-même, mais l’usage qu’on lui fait et les processus qui l’entourent.
Pourquoi la MFA peut donner une fausse assurance
Après un contrôle MFA réussi, beaucoup d’équipes concluent que l’identité a été vérifiée : puisque l’utilisateur a passé l’authentification, la personne derrière le compte serait légitime, et l’identité ne serait pas compromise. Cette logique paraît intuitive, mais elle ne tient pas dans la pratique.
Le point critique : l’authentification valide principalement un fait — l’utilisateur contrôle les facteurs enregistrés pour un compte. Elle ne prouve pas, à elle seule, que ces facteurs correspondent bien à la bonne identité du monde réel, ni que cette identité reste fiable après la connexion.
De plus, les attaques ne se limitent pas au “périmètre” de l’authentification. Les adversaires ciblent souvent les étapes connexes : enrôlement des facteurs, récupération de compte, interventions du help desk, enregistrement des appareils ou encore gestion des sessions. Si ces étapes sont manipulées, la MFA peut ensuite confirmer un contrôle qui n’est pas celui qu’on croit.
“Passer la MFA” n’est pas synonyme de “prouver l’identité”
Pour comprendre le piège de l’identité, il faut distinguer deux notions souvent mélangées :
- L’authentification : établit qu’une personne contrôle les facteurs d’authentification associés à un compte.
- La vérification d’identité (identity proofing) : cherche à déterminer si la personne correspond à l’identité réelle revendiquée.
Ces deux activités ne répondent pas à la même question. L’authentification peut réussir même si la vérification initiale a échoué.
Un exemple typique consiste à manipuler le help desk pour réinitialiser la MFA d’un employé, puis à enregistrer un appareil contrôlé par l’attaquant. Au moment de la prochaine connexion, les exigences d’authentification seront satisfaites : identifiants valides et deuxième facteur complété. Le contrôle MFA a donc “fonctionné”, mais la garantie d’identité — elle — ne l’a pas été.
Quand l’attaquant passe la MFA
On imagine souvent un attaquant qui tente de forcer le système depuis l’extérieur, échouant sur la barrière MFA. Pourtant, une réalité plus dérangeante s’impose : il peut aussi réussir à passer l’authentification.
Plusieurs techniques peuvent contourner les contrôles, notamment via :
- phishing et ingénierie sociale,
- SIM swapping,
- vol de session,
- attaques contre la récupération de compte.
Même lorsque des approches plus résistantes au phishing sont déployées, il reste des points de fragilité liés à la façon dont les facteurs sont liés aux identités, à la manière dont ils peuvent être remplacés et aux règles appliquées lors des procédures de récupération.
Autrement dit : un “portail” sécurisé à l’entrée ne compense pas une porte latérale mal protégée. Si la vérification d’identité et la robustesse des processus autour de la MFA sont insuffisantes, l’attaquant peut exploiter ces écarts pour obtenir un accès légitime en apparence.
Ne pas confondre MFA et détection de menace
Le piège de l’identité ne s’arrête pas à la confusion entre authentification et vérification. Il existe aussi une autre catégorie d’erreur : considérer une MFA réussie comme une preuve que l’identité reste fiable après la connexion.
En réalité, l’authentification mesure la confiance à un instant précis. La détection de menace relative à l’identité (identity threat detection) vise plutôt à répondre à une question différente : que se passe-t-il ensuite avec cette identité ?
Une session peut sembler valide au moment du login. Quelques minutes plus tard, un attaquant peut détourner la session, modifier des comportements ou déclencher des actions à haut risque. Dans ce cas, une MFA réussie apporte peu de garanties sur la suite : l’identité peut changer de statut, sans que l’événement d’authentification initial ne reflète cette évolution.
La confiance sur l’identité n’est donc pas un interrupteur “on/off”. Elle doit être pensée comme évolutive et contextualisée dans le temps.
Trois questions à distinguer dans votre stratégie
Une approche plus robuste consiste à structurer la sécurité autour de trois questions complémentaires :
- Qui est cette personne ? La vérification d’identité apporte un niveau de confiance sur l’adéquation entre l’utilisateur et l’identité revendiquée.
- Cette personne peut-elle démontrer le contrôle des facteurs requis ? L’authentification répond à cette question. La MFA y joue un rôle majeur.
- Cette identité se comporte-t-elle de manière légitime dans la durée ? La détection de menace de l’identité utilise des signaux et des comportements sur la durée.
Ces contrôles s’additionnent. Ils ne se remplacent pas. Le risque apparaît quand une équipe attend de la MFA qu’elle serve de réponse unique à des questions qui demandent des mécanismes différents.
Traiter la confiance comme un parcours, pas comme un moment
Confondre ces fonctions crée des angles morts. On peut attribuer trop de confiance à une session authentifiée, tout en laissant des procédures de récupération fragiles ou en ne détectant pas une compromission après le login.
Le bon réflexe est de construire une logique de confiance tout au long du cycle de vie :
- Lors de l’enrôlement, l’organisation cherche à établir une confiance que l’identité correspond à une personne donnée.
- Lors de l’authentification, elle établit la confiance que l’utilisateur contrôle les facteurs requis.
- Après la connexion, elle maintient l’évaluation via de nouveaux signaux : changements d’appareil, accès inhabituels, élévation de privilèges, événements liés à la récupération, etc.
Dans les interactions à haut risque, il peut être nécessaire de réétablir une assurance d’identité. Par exemple : lors d’un changement d’authentifiant, d’une réinitialisation de données d’accès, ou lors d’une demande d’accès administratif. La confiance doit être établie, confirmée et surveillée, puis renforcée quand le contexte l’exige.
Donnez à la MFA le rôle pour lequel elle est conçue
Il ne s’agit pas de diminuer la valeur de la MFA. Au contraire : l’objectif est de lui redonner une description de poste cohérente.
La MFA est essentielle pour répondre à la question du contrôle des facteurs requis. En revanche, elle ne peut pas, à elle seule, déterminer :
- si un attaquant a manipulé la récupération de compte,
- si l’enrôlement d’un facteur a été fait après une vérification d’identité adéquate,
- si une session authentifiée a été détournée par la suite,
- si une identité reste légitime après le login.
La vérification d’identité répond à la question “qui vous êtes”. L’authentification et la MFA répondent à la question “que contrôlez-vous”. La détection de menace relative à l’identité répond à “restez-vous crédible dans le temps ?”.
Conclusion : renforcer la sécurité au-delà de la réussite MFA
Le piège de l’identité apparaît lorsque la réussite MFA est interprétée comme une preuve complète de l’identité et de sa fiabilité continue. Or, une MFA réussie peut simplement signifier que les facteurs requis ont été contrôlés — pas nécessairement que la personne est celle qu’on croit, ni que la session restera légitime.
Pour réduire ce risque, clarifiez vos objectifs : mettez en place une vérification d’identité solide pour l’enrôlement et les changements critiques, utilisez la MFA pour l’authentification, puis complétez par une détection de menaces qui surveille le comportement après le login. C’est cette combinaison, pensée sur la durée, qui transforme l’authentification en véritable assurance de sécurité.
